Les tests d'intrusion avaient tout leur sens à l'époque où les mises à jour avaient lieu tous les quelques mois. Une évaluation ponctuelle pouvait alors donner une image précise des risques pendant des semaines, voire parfois des mois. Aujourd'hui, les équipes d'ingénierie effectuent des déploiements en continu. Notre enquête « State of AI in Pentesting », menée auprès de 200 RSSI et 200 responsables techniques, a révélé que 76 % d'entre eux déploient des changements importants au moins une fois par semaine, tandis que près de 40 % le font quotidiennement. Pourtant, seuls 21 % d'entre eux vérifient la sécurité à chaque mise à jour.
Cet écart a des conséquences.
- 79 % craignent que des failles de sécurité ne soient pas détectées entre deux tests d'intrusion.
- La moitié d'entre eux estiment que les conclusions sont déjà dépassées au moment où le rapport est publié.
- 64 % des personnes interrogées affirment que les délais liés aux tests de sécurité influencent les décisions de mise en production, soit en retardant les déploiements, soit en obligeant les équipes à accepter des risques supplémentaires.
Pour de nombreuses organisations, pentest IA le moyen le plus efficace de combler cette lacune. Cependant, comme il s'agit encore d'un domaine relativement nouveau, les acheteurs évaluent souvent les plateformes à l'aide de critères initialement conçus pour les tests d'intrusion traditionnels. Ces critères ne permettent plus de déterminer quelle plateforme sera la plus performante une fois intégrée à votre processus de développement.
Questions auxquelles tout pentest IA ) devrait pouvoir répondre
Chaque fournisseur est en mesure de démontrer sa capacité à détecter des vulnérabilités.
Les questions les plus épineuses se posent dès lors que la plateforme s'intègre à votre processus d'ingénierie. Peut-elle exploiter le code source ? Comment s'assure-t-on que les agents d'IA ne sortent pas du périmètre défini ? La plateforme continuera-t-elle à apporter de la valeur ajoutée à mesure que votre logiciel évolue ?
La plateforme peut-elle utiliser du code source ?
Sur plus de 1 000 tests d'intrusion basés sur l'IA, les tests « white box » ont permis de détecter 7 fois plus de vulnérabilités, tout en nécessitant moins de tentatives que les tests « grey box » utilisés seuls.
Toutes pentest IA ne prennent pas en charge les tests « white box », et celles qui le font n'utilisent pas nécessairement le code source de la même manière. Comprendre comment les fournisseurs exploitent le code, ainsi que les éléments probants qui sous-tendent les résultats, devrait faire partie intégrante de toute évaluation.
Demandez aux fournisseurs :
- La plateforme prend-elle en charge les tests « whitebox » ?
- L'accès par code est-il facultatif ?
- Comment le code source est-il utilisé lors des tests ?
- Comment le code source des clients est-il protégé ?
- Quelles données montrent que l'accès au code améliore les résultats ?
Comparez-vous les fournisseurs de manière équitable ?
Une évaluation des fournisseurs n'est utile que si chaque plateforme est testée dans des conditions comparables.
Si un fournisseur reçoit le code source et un autre non, ou si une plateforme s'exécute nettement plus longtemps ou consomme nettement plus de crédits, il devient difficile de comparer les rapports finaux.
L'une des recommandations de ce guide est la suivante :
La liste de contrôle approfondit ce sujet à l'aide de questions concrètes portant sur l'authentification, le code source, le périmètre, la validation et le reporting, afin que chaque fournisseur soit évalué selon les mêmes critères.
Comment s'assure-t-on que les tests restent dans les limites du périmètre défini ?
Les agents IA sont conçus pour explorer diverses applications. Les acheteurs doivent bien comprendre comment ces limites sont appliquées.
Demandez comment le périmètre est contrôlé. La production peut-elle être exclue par défaut ? Les domaines sont-ils ajoutés à une liste blanche ? Que se passe-t-il si un agent suit une redirection en dehors de l'environnement convenu ? Les tests peuvent-ils être surveillés ou interrompus pendant leur exécution ?
Les plateformes les plus performantes mettent en œuvre ces contrôles par des moyens techniques plutôt que de se contenter de messages d'avertissement ou d'instructions écrites.
Comment la plateforme s'adapte-t-elle aux évolutions logicielles ?
Les équipes d'ingénierie modernes ne cessent pas de déployer des mises à jour une fois le test d'intrusion terminé. Le nouveau code, les nouvelles fonctionnalités et les nouvelles dépendances modifient tous la surface d'attaque.
Demandez aux fournisseurs comment leur plateforme s'intègre à votre processus de mise en production. Les tests peuvent-ils s'exécuter automatiquement à mesure que le logiciel évolue ? En combien de temps une nouvelle application peut-elle être intégrée ? Les correctifs font-ils l'objet de nouveaux tests sans qu'il soit nécessaire de programmer une nouvelle intervention ? Combien de temps faut-il pour obtenir les premiers résultats significatifs ?
Ces questions prennent de plus en plus d'importance pour les organisations qui effectuent plusieurs déploiements par semaine ou qui intègrent la sécurité directement dans leurs processus CI/CD.
Signaux d'alerte courants lors d'une évaluation
Ce guide met également en avant les signes avant-coureurs qui méritent qu'on s'y attarde davantage.
- Les fournisseurs ne sont pas en mesure d'expliquer comment les résultats sont validés.
- L'accès au code est rejeté en l'absence de preuves comparatives.
- Les mesures de sécurité reposent sur des consignes plutôt que sur des contrôles techniques.
- Chaque démonstration se concentre sur des vulnérabilités OWASP bien connues, sans vraiment mettre en avant les tests de logique métier.
Aucun de ces critères n'exclut automatiquement une plateforme, mais chacun mérite d'être examiné de plus près avant de prendre une décision.
Télécharger le guide pentest IA
Les exemples ci-dessus ne constituent qu'une petite partie du cadre d'évaluation.
Le guide complet comprend également :
- Une liste de contrôle pratique pour l'évaluation des fournisseurs
- Comparaison entre les tests d'intrusion automatisés par IA et les tests manuels
- Étude portant sur plus de 1 000 tests d'intrusion basés sur l'IA
- Analyse comparative des tests « whitebox » et « greybox »
- Principales conclusions de notre rapport « État des lieux de l'IA dans les tests d'intrusion »
- Étude de cas anonymisée portant sur un client, dans laquelle pentest IA 13 failles, alors qu'un test d'intrusion manuel de 120 heures n'en avait détecté aucune.
Que vous évaluiez Aikido une autre plateforme, ce guide a pour but de vous aider à comparer tous les fournisseurs selon les mêmes critères.
Téléchargez le guide complet ici :
